Preparazione all'abilitazione della sicurezza per impostazione predefinita

Quando si abilita la protezione per impostazione predefinita sul cluster, è consentito solo il traffico necessario al funzionamento del cluster e tutti gli altri accessi sono bloccati.

• Verificare che il cluster abbia una versione che supporta la sicurezza per impostazione predefinita. Aggiornare il cluster almeno alla versione 4.15.

• Verificare che il cluster non sia già protetto per impostazione predefinita. È possibile scoprirlo eseguendo 'ibmcloud ks cluster get ed esaminando l'output.

• Verificare che nessuno dei nodi worker sia attualmente in stato di provisioning.

  Retrieving cluster CLUSTER...
  OK
  
  Name:                           CLUSTER
  ID:                             CLUSTER
  State:                          normal
  Status:                         All Workers Normal
  ...
  Secure By Default Networking:   enabled
  Outbound Traffic Protection:    enabled
  

• Verificate di non superare nessuna delle quote seguenti. Se una delle seguenti quote viene superata, il processo di abilitazione non riesce. Per ulteriori informazioni, vedere Quote VPC.

  • È necessario avere un numero di cluster pari o inferiore a 15 nella VPC. Esiste un massimo di 15 regole che possono avere come origine o destinazione altri gruppi di sicurezza. Per impostazione predefinita, Red Hat OpenShift on IBM Cloud applica 1 regola che ha come obiettivo il gruppo di sicurezza 'kube-<clusterID> per ogni cluster nella VPC. A causa di questa quota, è possibile creare solo 15 cluster in un determinato VPC.
  • È necessario avere un numero di gruppi di sicurezza pari o inferiore a 95 nella VPC. È possibile avere un massimo di 100 gruppi di sicurezza in una VPC. Abilitando la protezione per impostazione predefinita, vengono creati 4 gruppi di sicurezza. Se avete già quasi 100 gruppi di sicurezza, prendete in considerazione la possibilità di ridurli o consolidarli prima di procedere.
  • È necessario avere 4 o meno gruppi di sicurezza per i lavoratori del cluster. I lavoratori del cluster possono avere fino a 5 gruppi di sicurezza. L'abilitazione della protezione per impostazione predefinita aggiunge un gruppo di sicurezza ai lavoratori.

• Se si dispone di regole di gruppo di sicurezza personalizzate sul gruppo di sicurezza del lavoratore del cluster esistente (kube-<clusterID>), queste vengono rimosse durante l'abilitazione. Se volete mantenere queste regole, annotatele in anticipo e aggiungetele dopo l'abilitazione.

Cosa succede quando si abilita la sicurezza per impostazione predefinita?

Quando si attiva la protezione per impostazione predefinita, vengono creati o aggiornati i seguenti gruppi di sicurezza.

In che ordine vengono applicate le modifiche?

Le seguenti operazioni vengono eseguite quando si aggiorna il cluster in modo sicuro per impostazione predefinita.

1. Se non esistono già, vengono creati i seguenti gruppi di sicurezza sicuri per impostazione predefinita.

   • kube-<clusterID>
   • kube-vpegw-<clusterID
   • kube-vpegw-<vpcID>
   • kube-lbaas-<clusterID>

2. I gruppi di sicurezza collegati ai gateway VPE vengono aggiornati. Sono interessati solo i gateway e i gruppi di sicurezza IBM. I gruppi di sicurezza personalizzati non sono interessati. Se il gruppo di sicurezza precedente non esiste su un gateway, non viene eseguita alcuna azione.

3. Il gruppo di sicurezza del gateway VPE precedente (kube-<vpcID>) viene rimosso dal gateway VPE master e sostituito con il nuovo gruppo di sicurezza del gateway VPE master (kube-vpegw-<clusterID>).

4. Il precedente gruppo di sicurezza del gateway VPE (kube-<vpcID>) viene rimosso da tutti i gateway VPE condivisi IBM e sostituito con il nuovo gruppo di sicurezza del gateway VPE condiviso (kube-vpegw-<vpcID>). Questa operazione potrebbe essere già avvenuta se nella VPC sono presenti altri cluster sicuri per impostazione predefinita.

5. I gruppi di sicurezza collegati ai bilanciatori di carico (NLB e ALB) vengono aggiornati. Vengono aggiornati solo i bilanciatori di carico e i gruppi di sicurezza IBM. I gruppi di sicurezza personalizzati non sono interessati. Se il gruppo di sicurezza precedente non esiste su un bilanciatore di carico, non viene eseguita alcuna azione.

6. Il precedente gruppo di sicurezza del bilanciatore di carico (kube-<vpcID>) viene rimosso dai bilanciatori di carico e sostituito con il nuovo gruppo di sicurezza del bilanciatore di carico (kube-lbaas-<clusterID>)

7. Il gruppo di sicurezza dei lavoratori del cluster (kube-<clusterID>) è stato ripristinato.

   • Tutte le regole esistenti vengono rimosse.
   • Sono state aggiunte nuove regole per i gruppi di sicurezza sicuri per impostazione predefinita.

8. Le regole del bilanciatore di carico vengono applicate sia ai gruppi di sicurezza dei lavoratori del cluster che a quelli del bilanciatore di carico.

9. Il gruppo di sicurezza del gateway VPE master viene reimpostato.

   • Tutte le regole esistenti vengono rimosse. Tuttavia, poiché è stato creato di recente (nel passaggio 1), di solito non ci sono regole.
   • Vengono aggiunte le nuove regole del gruppo di sicurezza Sicuro per impostazione predefinita.

Le fasi precedenti vengono gestite automaticamente. Tuttavia, i cluster creati prima della sicurezza hanno per impostazione predefinita il gruppo di sicurezza VPC predefinito collegato ai lavoratori. Questo gruppo di sicurezza deve essere rimosso, ma non può essere rimosso dall'automazione fornita da IBM. Pertanto, è necessario sostituire manualmente i lavoratori per completare il processo di aggiornamento. Durante la sostituzione di un lavoratore avvengono i seguenti aggiornamenti.

1. Il gruppo di sicurezza del cluster worker (kube-<clusterID>) e tutti i gruppi di sicurezza definiti dall'utente aggiunti in precedenza sono collegati al nuovo worker.

2. Il gruppo di sicurezza VPC predefinito non viene più utilizzato.

Abilitazione della sicurezza per impostazione predefinita

Completare i seguenti passaggi per applicare la configurazione del gruppo di sicurezza secure by default al cluster.

1. Immetti il seguente comando.

   ibmcloud oc vpc secure-by-default enable --cluster <CLUSTER ID> [--disable-outbound-traffic-protection][-f]
   

2. Attendere il completamento del processo. Una serie di fattori può influenzare il tempo necessario per abilitare il cluster alla sicurezza predefinita. Di solito finisce in meno di 5 minuti. Per verificare che il processo sia terminato, è possibile ispezionare i nuovi gruppi di sicurezza.

   • Il gruppo di sicurezza del gateway VPE master kube-vpegw-CLUSTERID contiene regole.
   • Il gruppo di sicurezza del bilanciatore di carico kube-lbaas-CLUSTERID contiene regole.

3. Sostituire tutti i nodi worker del cluster.

   ibmcloud oc worker replace --cluster CLUSTER --worker WORKER -f